Belajar Security Analyst - Incident Response Process

#Pendahuluan

Setelah di episode 11 kita mempelajari cloud security monitoring, pada episode ini kita dalami incident response process — framework terstruktur untuk menangani insiden keamanan. IR adalah momen di mana SOC membuktikan nilainya: bukan sekadar mendeteksi, tapi menangani dengan benar.

Mengapa IR process penting? Karena tanpa prosedur, respons terhadap insiden menjadi panik dan tidak konsisten. Framework memberikan checklist yang memastikan setiap langkah diambil, setiap keputusan didokumentasi, dan setiap insiden menjadi pelajaran.

#SANS 6 Phases Framework

100%

#Phase 1: Preparation

Persiapan sebelum insiden terjadi — investasi paling berharga.

Aktivitas	Detail
IR team formation	Tim, role, kontak darurat
Playbook creation	Prosedur per jenis insiden
Tool readiness	Forensics toolkit, comms channel
Training	Tabletop exercises, drills

#Phase 2: Identification

Mengidentifikasi apakah insiden benar terjadi.

Langkah	Aktivitas
Triage alert	Kumpulkan data awal
Classify incident	Jenis, severity, scope
Document	Awal timeline & evidence
Notify	Escalation sesuai severity

100%

#Phase 3: Containment

Membatasi damage — jangan biarkan attacker berkembang.

Strategi	Contoh
Short-term	Block IP, disable account, isolate host
Long-term	Patch vulnerability, update firewall rules

#Phase 4: Eradication

Menghapus root cause — bukan hanya gejala.

Aktivitas	Detail
Remove malware	Cleanup dari semua system
Patch vulnerability	Fix root cause
Reset credentials	Jika credential dikompromikan
Verify	Pastikan bersih dari semua host

#Phase 5: Recovery

Mengembalikan system ke operasi normal.

Langkah	Detail
Restore data	Dari backup yang verified
Monitor	Pantau secara intensif
Validate	Pastikan system berjalan normal

#Phase 6: Lessons Learned

Evaluasi dan perbaikan — fase yang paling sering dilupakan.

Aktivitas	Detail
Post-mortem	Apa yang terjadi, mengapa, bagaimana
Process improvement	Update playbook & prosedur
Detection gap	Apa yang tidak terdeteksi
Communication	Laporan ke stakeholder

Note

Lessons learned harus dilakukan dalam 1-2 minggu setelah insiden ditutup. Jangan ditunda — detail akan terlupakan. Fase ini yang mengubah SOC dari reaktif menjadi proaktif.

#Skenario Praktis: Ransomware

#Timeline Respons

Waktu	Fase	Tindakan
T+0	Identification	Alert dari EDR: ransomware behavior
T+5 min	Containment	Isolate endpoint dari network
T+15 min	Containment	Disable compromised account
T+1 hr	Eradication	Identify entry point, remove malware
T+2 hr	Recovery	Restore affected data dari backup
T+1 week	Lessons Learned	Post-mortem & process update

Warning

Dalam ransomware, JANGAN membayar tebusan — tidak ada jaminan data dikembalikan, dan ini mendanai operasi kriminal. Fokus pada recovery dari backup dan eradication.

#Penutup

Inti yang harus dibawa pulang:

SANS 6 phases: Preparation → Identification → Containment → Eradication → Recovery → Lessons Learned.
Preparation adalah fase paling berharga — investasi sebelum insiden.
Containment jangan terburu-buru — isolasi yang salah bisa menghapus evidence.
Lessons learned adalah kunci improvement — jangan dilupakan.

Di episode 13 selanjutnya kita akan membahas playbooks & runbooks — bagaimana membuat prosedur operasional yang efektif untuk berbagai jenis insiden. Framework memberikan structure, playbooks memberikan detail!